Coronavirus; estado de alarma; RGPD; datos personales de salud

El empleador, el coronavirus, y la normativa de Protección de Datos de Carácter Personal

Desde casa, seguimos de cerca algunas consecuencias del estado de alarma y de la crisis sanitaria derivada del coronavirus que obligan a las empresas a hacer las cosas de una manera diferente.

Ayer os avanzamos que la AEPD ha difundido un informe jurídico, así como un documento de preguntas y respuestas, que trata y resuelve sobre cuál debe ser la actuación de los responsables de tratamiento que recogen y tratan datos personales de salud de personas infectadas o que pueden estar en riesgo de contagio, así como otros temas relacionados.

La cuestión es de interés, porque, si hacemos memoria, el Reglamento General de Protección de Datos (RGPD) prohíbe como norma general el tratamiento de los datos personales de salud, salvo que pueda ampararse en alguna de las excepciones recogidas en la normativa. Lo que es de sentido común, es que la protección de datos no debe utilizarse para obstaculizar la efectividad de las medidas que adopten las autoridades en un estado de alarma como el actual. Dicho esto, esta excepción, como todas, no puede entenderse como patente de corso para el tratamiento de datos de salud, y en este sentido es necesario tener presente que los datos deben tratarse con licitud, lealtad y transparencia y según los principios de minimización, limitación de la finalidad y exactitud.

Recordemos que el Considerando 46 del RGPD se refiere a la posibilidad de un tratamiento lícito de datos de salud en casos excepcionales, como son el control de epidemias, sin que sea necesario el consentimiento de los afectados. Además, el RGPD establece bases jurídicas para tratamientos lícitos, como el cumplimiento de una obligación legal (art 6.1.c -por ejemplo, la prevención de riesgos laborales), la misión realizada en interés público (art 6.1.e) o los intereses vitales del interesado u otras personas (ar. 6.1.d). Más en concreto, y sin ánimos de ser exhaustivos, en sede de datos de salud, el artículo 9.2 del RGPD establece los supuestos en que se pueden tratar los datos de salud, y además del consentimiento expreso, cuando ello sea necesario para salvaguardar intereses vitales de los interesados o de otras personas, intereses públicos esenciales en el ámbito de la salud pública o el cumplimiento de obligaciones legales, dentro de las medidas establecidas en la normativa legal correspondiente.

Por tanto, y como no podía ser de otro modo, la respuesta de la AEPD, en coherencia con las conclusiones publicadas por otras autoridades europeas, prioriza la situación de alerta sanitaria y las decisiones que puedan adoptar las autoridades competentes, en especial las sanitarias, durante la pandemia. En este sentido, según la AEPD, los responsables de tratamiento deberán seguir las instrucciones de las autoridades sanitarias de las administraciones públicas, sin que sea necesario el consentimiento de los interesados cuando dichas instrucciones supongan un tratamiento de datos de salud.

En este marco, el documento de preguntas y respuestas difundido por la AEPD informa con un lenguaje especialmente claro y concreto. A continuación os facilitamos un resumen de las preguntas y respuestas:

¿Pueden los empresarios tratar la información de si las personas trabajadoras están infectadas del coronavirus?

Los empleadores podrán tratar de conformidad con lo establecido en la normativa sanitaria, laboral y de prevención de riesgos laborales, los datos del personal necesarios para garantizar su salud y adoptar las medidas necesarias por las autoridades competentes para proteger la salud de sus empleados y evitar los contagios. Lo que incluye conocer si una persona está infectada o en riesgo de estarlo, incluso a través de preguntas concretas y limitadas a esta cuestión.

¿Pueden transmitir esa información al personal de la empresa?

Sí, aunque sin identificar a la persona afectada para mantener la privacidad, salvo que lo requieran las autoridades competentes, en particular las sanitarias.

 ¿Se puede pedir a las personas trabajadoras y visitantes ajenos a la empresa datos sobre países que hayan visitado anteriormente, o si presentan sintomatología relacionada con el coronavirus?

Se puede recabar este tipo de información sin necesidad de obtener el consentimiento previo de la persona afectada al amparo de la obligación legal del empleador de proteger la salud de los trabajadores y mantener el lugar de trabajo libre de riesgos sanitarios. Ello no obstante, la información debería limitarse a preguntas sobre las visitas a países de alta prevalencia del virus y en el marco temporal de incubación de la enfermedad, las últimas dos semanas, o si se tiene alguno de los síntomas del coronavirus.

 ¿Se pueden tratar los datos de salud de las personas trabajadoras relacionados con el coronavirus?

La respuesta es afirmativa, en tanto se trata de datos necesarios para salvaguardar los intereses vitales de las personas físicas, el interés público esencial en el ámbito de la salud, la realización de diagnósticos médicos, o el cumplimiento de obligaciones legales en el ámbito laboral, incluido el tratamiento de datos de salud sin necesidad de contar con el consentimiento explícito el afectado. De hecho, la AEPD expresamente recuerda que no se puede hacer uso de la normativa de protección de datos personales para obstaculizar o limitar la efectividad de las medidas que adopten dichas autoridades competentes, en especial las sanitarias, en la lucha contra la pandemia.

 En caso de cuarentena preventiva o estar afectado por el coronavirus, ¿el trabajador tiene obligación de informar a su empleador de esta circunstancia?

Aquellos trabajadores que hayan tenido contacto con la enfermedad y que por aplicación de los protocolos establecidos por las autoridades sanitarias han de estar en régimen de aislamiento para evitar riesgos de contagio, aún sin tener aún el diagnóstico, deberán informar a su empleador y al servicio de prevención o, en su caso, a los delegados de prevención (Ley de Prevención de Riesgos Laborales).

¿El personal de seguridad puede tomar la temperatura a los trabajadores con el fin de detectar casos coronavirus?

 La AEPD considera dicha medida posible, en tanto medida relacionada con la vigilancia de la salud de los trabajadores que, conforme a la Ley de Prevención de Riesgos Laborales, resulta obligatoria para el empleador y debería ser realizada por personal sanitario.

Insistimos que –tal y como recuerda la AEPD al contestar a cada una de las anteriores preguntas, el tratamiento de los datos personales debe respetar los principios de limitación de la finalidad, de forma que el tratamiento deberá limitarse a los datos personales estrictamente necesarios para salvaguardar la salud y evitar la cadena de contagios, en armonía con las decisiones que vayan adoptando las autoridades competentes, en especial las sanitarias.

Hoy Barcelona ha amanecido soleada. Os deseamos un feliz día.

Ana Soto & Mª Luisa Osuna

El estado de alarma y la necesidad de suspender para seguir. Sobre la suspensión de plazos y otros temas

En un momento de tanta incertidumbre y tan triste como el que nos está tocando vivir, quisiéramos, ante todo, enviaros mensajes de ánimo y optimismo-

Os dejamos un breve resumen sobre las consecuencias del Estado de Alarma decretado por el Real Decreto 463/2020  (para la gestión de la crisis sanitaria ocasionada por el COVID-19), en cuanto a los plazos procesales y administrativos:

  • Suspensión de los plazos procesales (Disposición Adicional Segunda).

Se suspenden términos y se suspenden e interrumpen los plazos previstos en las leyes procesales para todos los órganos jurisdiccionales hasta tanto pierda vigencia el Real Decreto (a los 15 días naturales desde su publicación el 14 de marzo), o sus prórrogas. Ello significa que cualquier procedimiento judicial o arbitral en marcha, sea cual sea la jurisdicción, queda en suspenso hasta entonces. Ello no obstante, los jueces y tribunales mantienen la potestad de acordar que se practiquen aquellas actuaciones y actos judiciales que sean necesarios para evitar perjuicios irreparables a los derechos e intereses de las partes.

El Real Decreto establece también algunas (pocas) excepciones a la suspensión, que afectan a los siguientes procedimientos que, en consecuencia, continúan su trámite a pesar del estado de alarma:

  • Ante la jurisdicción penal:  cualquier  medida cautelar en materia de violencia de género o menores;  los procedimientos de habeas corpus;  las actuaciones encomendadas a los servicios de guardia; a las actuaciones con detenido;  las órdenes de protección y  las actuaciones urgentes en materia de vigilancia penitenciaria. Igualmente, los jueces o tribunales competentes podrán acordar actuaciones de instrucción que sean urgentes e inaplazables.
  • En relación con el resto de órdenes jurisdiccionales, la suspensión decretada por el Real Decreto no afectará a los siguientes supuestos:

Los procedimientos de  protección de los derechos fundamentales de la persona (artículo 114 y siguientes de la Ley 29/1998, reguladora de la Jurisdicción Contencioso-administrativa), ni a la tramitación de las autorizaciones o ratificaciones judiciales previstas en el artículo 8,5 de la citada Ley.

Los procedimientos de conflicto colectivo y para la tutela de los derechos fundamentales y libertades púbicas (Ley 36/2011, reguladora de la jurisdicción social).

 Los procedimientos dirigidos a obtener la autorización judicial para el internamiento no voluntario por trastorno psíquico (artículo 763 de la Ley de Enjuiciamiento Civil); y

Los procedimientos dirigidos a la adopción de medidas o disposiciones de protección del menor (artículo 158 del Código Civil).

  • Suspensión de plazos administrativos (Disposición Adicional Tercera)

El Real Decreto también suspende términos e interrumpe plazos para la tramitación de los procedimientos de las entidades del sector público, de forma que el cómputo de dichos plazos se reanudará en el momento en que finalice la vigencia del Real Decreto o sus prórrogas. Como consecuencia de ello, quedan suspendidos todos los procedimientos de los que forman parte cualquier entidad del sector público, en el sentido definido por la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas. En consecuencia, cualquier plazo o término (también por silencio administrativo), queda en suspenso hasta tanto se mantenga el estado de alarma.

También en este caso los órganos competentes podrán acordar de forma motivada las medidas de ordenación e instrucción estrictamente necesarias para evitar perjuicios graves de derechos e intereses de las partes en el procedimiento, siempre que dicho interesado esté conforme con ello o con la no suspensión del procedimiento.

La única excepción que incluye en Real Decreto a la que no afectará la suspensión se refiere a los procedimientos o resoluciones relacionados con situaciones estrechamente vinculadas a los hechos justificativos del estado de alarma.

  • Suspensión de plazos de prescripción y caducidad

Como una razonable consecuencia de lo anterior, todos los plazos de prescripción y caducidad de cualesquiera acciones y derechos quedan  suspendidos durante el plazo de vigencia del Real Decreto y –en su caso- sus prórrogas.

Compartimos las medidas, porque tenemos la firme convicción que para que todo siga, debemos parar de hacer las cosas como las hemos venido haciendo y adaptarnos a la situación del estado de alarma. Con este mismo pensar, tanto la agencia española y europea de protección de datos personales, como la oficina española y europea de propiedad industrial, han adoptado medidas para garantizar, en el marco del Real Decreto, la continuidad de su actividad

En materia de datos de carácter personal:

  • La Agencia Española de Protección de Datos (“AEPD”: ha publicado un elenco de criterios relacionados con el tratamiento de datos en el contexto de la crisis sanitaria del coronavirus. Os dejamos aquí el Informe del Gabinete Jurídico y el documento de preguntas y respuestas publicado por la AEPD.
  • El Comité Europeo de Protección de Datos (European Data Protection Board –EDPB-) ha publicado un comunicado que versa sobre las bases del tratamiento de datos de carácter personal durante la crisis sanitaria. Os dejamos también el comunicado del EDPB

En materia de derechos de propiedad industrial:

  • La Oficina Española de Patentes y Marcas (OEPM) ha regulado servicios de atención telefónica y telemática, y continúa permitiendo trámites en su sede electrónica, que podéis consultar desde este link de la sede electrónica de la OEPM.
  • La Oficina de Propiedad Intelectual de la Unión Europea (“EUIPO”) ha difundido un comunicado sobre las medidas aplicadas como consecuencia de la declaración del estado de alarma e informa del protocolo aplicado para mantener la continuidad de su actividad a través de los trámites telemáticos desde su sede electrónica  bajo un criterio de  normalidad. Ello no obstante, la Dirección Ejecutiva de la EUIPO ha decidido prorrogar los vencimientos de procedimientos entre el 9 de marzo y el 30 de abril (ambos incluidos), hasta el 1 de mayo de 2020. Podéis consultar el comunicado en este link del sitio de la EUIPO. también la Decisión de la Dirección Ejecutiva

Hasta pronto

Ana Soto & Mª Luisa Osuna